CVE-2021-32793

Pi-hole'un Web arayüzü, bir Pi-hole örneğini yönetmek ve performans istatistiklerini incelemek için merkezi bir konum sağlar. Pi-hole Web arayüzü sürüm 5.5.1 öncesinde, engelleme listelerine veya izin verilenler listelerine alan adı ekleme işlevi, saklanan bir siteler arası betik çalıştırma (XSS) zafiyetine karşı savunmasızdır. Bir engelleme veya izin verilenler listesine joker karakterli alan adı olarak eklenen kullanıcı girdisi, web arayüzünde filtrelenmemektedir. Payload kalıcı olarak joker karakterli bir alan adı şeklinde saklandığından, bu durum kalıcı bir XSS zafiyetidir. Bu nedenle, uzak bir saldırgan istemci tarafı saldırıları aracılığıyla yönetici kullanıcı hesaplarına saldırabilir. Pi-hole Web Interface sürüm 5.5.1, bu zafiyet için bir yama içermektedir.